Vaultを使用して領事館に保存されたリモートTerraformの状態を暗号化

Question

現在、クラウドプロバイダのアクセスキーやIDなどの秘密情報を管理することは、Terraformプロジェクトでは未解決の問題です（github issue参照）。 terraform planまたはterraform applyを実行するたびに、これらの秘密はテラフォーム状態ファイルに平文で保存されます。 terrahelpのような第三者による編集や暗号化スクリプトが数多くあります。

私の質問：領事館はリモートテラフォームの状態を保存するためのネイティブバックエンドです。 Vaultを使用して領事館に保存されている状態ファイルを暗号化することはできますか？私はTerraformのバックエンドのドキュメントを検索しようとしましたが、ConsulがVaultを使って状態ファイルを暗号化するための設定フラグを見つけることができませんでした。

Answer 1

私はこの機能を欲しがっていますが、悲しいことに、これは現時点では可能ではないと私は考えています。あなたの状態ファイル全体を暗号化したい場合は、バケット暗号化を有効にしたs3のように、このボックスをサポートする別のバックエンドを選択する必要があります。

状態ファイルの読み込み/保存手順にフックを入れて自分自身でボールトの暗号化（または他のカスタム要件）を組み込むことができればいいですが、これも不可能です。

小さなサイトノート：terraform planは、状態ファイルに何も書き込まれません。読み取り専用の操作です。そうでないと、安全に使用できない可能性があります。